TE Bvwg Beschluss 2021/8/9 W211 2222613-2

W211 2222613-2/12E

BESCHLUSS

Das Bundesverwaltungsgericht beschließt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX 2019, XXXX , in Bezug auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten im Rahmen eines Auskunftsersuchens gemäß Art 15 Abs. 3 DSGVO in nichtöffentlicher Sitzung:

Dem Gerichtshof der Europäischen Union werden gemäß Art 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:

1.       Ist der Begriff der „Kopie“ in Art 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S. 1; im Folgenden: „DSGVO“) dahingehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, un „double“ („duplicata“) oder ein „transcript“?

2.       Ist Art 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahingehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?

3.       Für den Fall, dass die Frage 2. dahingehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art 15 Abs. 3 Satz 1 DSGVO dahingehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im Erwägungsgrund 63 angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, C-434/16, ECLI:EU:C:2017:994) und das Transparenzgebot in Art 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?

4.       Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit allein die in Art 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?

a.       Falls die Frage 4. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) DSGVO gemeint sind?

b.       Falls auch die Frage 4.a. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 lit a) – h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?

Begründung:

I. Sachverhalt:

Der Beschwerdeführer ersuchte mit Schreiben vom XXXX 2018 eine Kreditauskunftei um (unter anderen) Auskünfte über personenbezogene Daten gemäß Art 15 DSGVO und weiter, soweit hier wesentlich, um Übersendung einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format.

Die Kreditauskunftei erteilte teilweise die angeforderten Auskünfte in einer aggregierten Form, wobei sie die zur Person des Beschwerdeführers gespeicherte Daten einerseits in einer nach Name, Geburtsdatum, Straße, Postleitzahl und Ort gegliederten Tabelle und andererseits in einer Übersicht betreffend unternehmerische Funktionen und Vertretungsbefugnisse reproduzierte. Darüberhinausgehende Unterlagen wie E-Mails oder Datenbankausdrucke wurden nicht übermittelt.

II. Vorbringen der Parteien:

Der Beschwerdeführer bringt vor, dass mit „Kopie der Daten“ beispielsweise E-Mails und Datenbankauszüge inklusive allfälliger Freitextfelder gemeint seien, die personenbezogene Daten beinhalten würden. Der Anspruch auf Datenkopie bestehe selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten, wobei eine Aufbereitung der Datenkopie, ausgenommen in den Fällen des Art 15 Abs. 4, nicht zulässig sei. Zu früherer Rechtsprechung der damaligen Datenschutzkommission, die eine Herausgabe der Daten als Kopie abgelehnt habe, sei zu sagen, dass sich die Rechtslage mit der DSGVO geändert habe. In Österreich habe bereits der Oberste Gerichtshof (in der Folge „OGH“) in seiner Entscheidung vom 17.12.2020 zur neuen Rechtslage nach der DSGVO ausgesprochen, dass beispielsweise die Herstellung von Kopien der Krankengeschichte ein Anwendungsfall des Art 15 Abs. 3 DSGVO sei (siehe OGH, 17.12.2020, Zl. 6 Ob 138/20t). Auch das Bundesverwaltungsgericht habe in einer Entscheidung vom 24.05.2019 ausgesprochen, dass Duplikate von Kontoauszügen unter das Recht auf Kopien nach Art 15 Abs. 3 DSGVO fallen würden (Zl W258 2205602-1).

Die Beschwerdegegnerin – im Verfahren vor dem Bundesverwaltungsgericht nunmehr die mitbeteiligte Partei - führt dazu aus, dass eine Herausgabe der Kopie der Daten grundsätzlich zu verneinen und im vorliegenden Fall daraus auch kein Mehrwert für den Beschwerdeführer zu erkennen sei. Sämtliche Informationen und Daten würden sich aus dem Auskunftsbegehren und der Auskunft ergeben, darüber hinaus seien keine weiteren Daten gespeichert. Auch würde die Herausgabe einer Kopie die Geschäftsgeheimnisse der Beschwerdegegnerin verletzen, da eine Kopie von Daten aus der relationalen Datenbank zwangsläufig auch die logisch-mathematischen Verknüpfungen der einzelnen Datensätze wiedergeben würde.

Die Datenschutzbehörde bringt vor, dass weder der Verordnungsgeber, noch Erwägungsgründe oder die Literatur davon ausgehen würden, dass dem Beschwerdeführer eine Kopie in Form eines Faksimiles zustehen würde. Sie gehe eher davon aus, dass schon dem Grundsatz nach die datenschutzrechtliche Auskunft über eigene Daten als prozessuales Begleitrecht zur Überprüfung, ob Daten gesetzeskonform verarbeitet würden, zustehe. In diesem Sinne habe der Europäische Gerichtshof bereits ausgesprochen, dass das Auskunftsrecht der Vorbereitung von Berichtigung, Löschung oder Sperrung der Daten diene (siehe Rijkebeer, ECLI:EU:C:2009:293 sowie Y.S. ua, C-141/12 und C-372/12, ECLI:EU:C:2014:2081). Demnach sei das Interesse des Beschwerdeführers, unabhängig davon, was im Auskunftsrecht geltend gemacht werden könne, damit normativ beschränkt. Auch daraus sei erkennbar, dass ein Faksimile nicht Gegenstand des Auskunftsrechts sei. Unter Verweis auf den Erwägungsgrund 63 der DSGVO sowie auf das Urteil des Europäischen Gerichtshofs vom 14.07.2014, [YS u.a.], C-141/12 und C-372/12, ECLI:EU:C:2014:2081, habe die Datenschutzbehörde bereits ausgesprochen, dass sich aus Art 15 Abs. 3 DSGVO kein Anspruch auf Herausgabe einer Kopie von Dokumenten, die personenbezogene Daten eines Auskunftswerbers/einer Auskunftswerberin enthalten, ableiten lasse. Art 15 Abs. 3 DSGVO normiere lediglich das Recht auf Erhalt einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien.“ Auf Basis dieser Überlegungen könne ausgehend von Art 15 Abs. 3 DSGVO nicht die Herausgabe von Dokumentenkopien in Form ganzer Faksimiles begehrt werden, da dies dem Wortlaut der Bestimmung nicht zu entnehmen sei. Gegen eine solche Herausgabe ganzer Dokumente spreche auch die RL 2011/24/EU: deren Art 2 lit c verweise auf die RL 95/46/EG (nunmehr DSGVO) und lasse diese unberührt. In Art 4 Abs. 1 lit f und Art 5 lit d der RL 2011/24/EU werde ausdrücklich ein Recht auf Erhalt einer Kopie „der Patientenakte“ festgeschrieben – somit ein Recht auf Herausgabe ganzer Dokumentenkopien. Würde man im Lichte dieser Bestimmung Art 15 Abs. 3 DSGVO einen Inhalt unterstellen, der auf die Herausgabe ganzer Dokumente abziele, würden die Regelungen anderer Rechtsakte, wie zum Beispiel die RL 2011/24/EU, ins Leere laufen. Daher sei auch der Rechtsansicht des Obersten Gerichtshofs im Urteil zur Zl. 6 Ob 138/20t nicht zu folgen, weil dieser die genannte Richtlinie in seiner Entscheidung gänzlich unberücksichtigt gelassen habe.

III. Bisheriges Verfahren:

Nach einem Auskunftsbegehren und einer ersten teilweisen Auskunftserteilung durch die Kreditauskunftei brachte der Beschwerdeführer am XXXX .2019 eine Beschwerde bei der Datenschutzbehörde wegen mangelhafter Beantwortung des Auskunftsbegehrens ein und darin unter anderem vor, dass ihm keine Datenkopie übermittelt worden sei.

Nach einem schriftlichen Verfahren erließ die Datenschutzbehörde am XXXX 2019 einen Bescheid, mit dem – unter anderen – die Beschwerde wegen Verstoßes gegen das Auskunftsrecht abgewiesen wurde.

Gegen den Bescheid erhob der Beschwerdeführer eine Beschwerde an das Bundesverwaltungsgericht.

Das Bundesverwaltungsgericht hat über die Beschwerde gegen den Bescheid der Datenschutzbehörde vom XXXX 2019 zu entscheiden:

Mit Teilerkenntnis vom XXXX 2021 sprach das Bundesverwaltungsgericht über die Beschwerdepunkte betreffend die Erteilung der Auskunft über die Herkunft der Daten, die Speicherdauer und die Verarbeitungszwecke sowie betreffend die vorgebrachte Verletzung von Informationspflichten gemäß Art 14 DSGVO, betreffend die geltend gemachte Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG sowie die geltend gemachte Verletzung der Datenminimierungspflicht nach Art 5 DSGVO und der Datensicherungspflichten gemäß Art 25 DSGVO ab.

Das Bundesverwaltungsgericht beschließt, die Beschwerde in Bezug auf den Beschwerdepunkt zu Art 15 Abs. 3 DSGVO dem Gerichtshof der Europäischen Union für die Entscheidung wesentlicher unionsrechtlicher Fragen vorzulegen.

IV. Anzuwendendes Unionsrecht:

DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.

„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; […]

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

V. Zur Vorlageberechtigung:

Das Bundesverwaltungsgericht ist ein Gericht im Sinne des Art 267 AEUV.

VI. Begründung der Vorlagefragen:

1. Zur Frage, was genau mit einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ im Art 15 Abs. 3 DSGVO gemeint ist, liegen in Österreich und Deutschland unterschiedliche Lehrmeinungen vor:

1.1. Für eine restriktive Auffassung: Recht auf Kopie als nähere Spezifizierung des Rechts auf Auskunft; kein Recht auf Dokumente oder ähnliches:

Nach Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung, Bundesdatenschutzgesetz (DS-GVO/BDSG3), C.H. Beck, 2021, Art 15 RZ 33f, ist mit Kopie in Abs. 3 die gemäß Abs. 1 in Bezug auf die personenbezogenen Daten zu erteilende Auskunft gemeint, sodass das Recht auf Kopie in seiner materiell-rechtlichen Reichweite keinesfalls über das in Abs. 1 geregelte Auskunftsrecht hinausgehen kann. Sinn und Zweck des Artikels 15 sei es, den betroffenen Personen die Überprüfung der Rechtmäßigkeit der Datenverarbeitungen zu ermöglichen, wobei diese Lesart durch Erwägungsgrund 63 Satz 1 unterstrichen werde. Zu diesem Zwecke sei es ausreichend, dass die betroffene Person die in Abs. 1 lit a bis h genannten Angaben in Kopie erhalte. Weitergehende Informationen seien gerade nicht erforderlich. Für die betroffenen Unternehmen würde eine hierüber hinausgehende Auffassung gesteigerten finanziellen, praktischen sowie rechtlichen Aufwand bedeuten. Bei einer extensiven Auslegung wäre eine Abwägung mit Rechten und Freiheiten Dritter (Abs. 4) nicht möglich. Das Erfordernis einer solchen Abwägung werde aber (mittelbar) durch den Erwägungsgrund 63 verdeutlicht.

Jahnel führt im Kommentar zur DSGVO, Jan Sramek Verlag, 2021, Art 15, RZ 37f, 42f, aus, dass die Systematik des Art 15 Abs. 3 unter anderen die Frage aufwerfe, ob der Umfang des Rechts nach Art 15 Abs. 3 soweit gehe, dass er der betroffenen Person ein Recht auf Kopie sämtlicher beim/bei der Verantwortlichen gespeicherte Dokumente einräume? Laut Duden bedeute Kopie eine „Abschrift, Durchschrift oder sonstige originalgetreue Reproduktion“. Gemäß Art 15 Abs. 3 sei eine Kopie der Daten, die verarbeitet würden, zur Verfügung zu stellen, und nicht von einer Kopie der Dokumente, in welchen die Daten verwendet würden, die Rede. Daher sei diese Wendung als Recht auf originalgetreue Darstellung jener Daten zu verstehen, die Gegenstand der Verarbeitung seien. Um die Voraussetzungen „originalgetreu“ zu erfüllen, müssten die tatsächlich verarbeiteten Daten aus der konkreten Datenverarbeitung reproduziert und damit kopiert und beauskunftet werden. Der Zweck dieser Anordnung könne dann in der Sicherstellung der Datenidentität bei der Auskunftserteilung gesehen werden, und damit in der Korrektheit der Datenauskunft in Bezug auf die konkret verarbeiteten Daten. Dies sei dann erfüllt, wenn der/die Verantwortliche die verarbeiteten Datenkategorien zusammen mit ihrem konkreten Inhalt, betreffend den/die Auskunftswerber_in, direkt aus der Datenverarbeitung exportiere, also in diesem Sinne „kopiere“. So interpretiert sei Art 15 Abs. 3 Satz 1 als nähere Konkretisierung des allgemeinen Anspruchs auf Auskunft über die personenbezogenen Daten in Art 15 Abs. 1 zu verstehen, der nur den grundsätzlichen Auskunftsanspruch festschreibe, aber keinerlei Angaben über Form und Inhalt der Auskunftserteilung enthalte.

Art 15 Abs. 4 lege fest, dass das Recht auf Erhalt einer Kopie „gemäß Abs. 3“ die Rechte und Freiheiten anderer Personen nicht beeinträchtigen dürfe. Dieser explizite Verweis auf das Recht auf Kopie in Abs. 3 scheine auf den ersten Blick der bisher erarbeiteten Systematik zu widersprechen, weil es sich nach dem Wortlaut nur auf das Recht auf Kopie und nicht auf das inhaltliche Auskunftsrecht gemäß Art 15 Abs. 1 beziehe. Dieser Widerspruch löse sich aber auf, wenn man das Recht auf Kopie als nähere Bestimmung hinsichtlich der Art und Weise betrachten würde, wie eine Auskunft über personenbezogene Daten der betroffenen Person nach Art 15 Abs. 1 zu erteilen sei. Dann beziehe sich nämlich die Verpflichtung zu einer Interessensabwägung auf die gesamte inhaltliche Auskunftserteilung. Diese Sichtweise werde auch durch Erwägungsgrund 63 unterstrichen. Zwar beinhalte dieser Erwägungsgrund keinerlei Anhaltspunkte hinsichtlich der Interpretation des Rechts auf Kopie gemäß Art 15 Abs. 3. Er bringe aber zwei Dinge klar zum Ausdruck: Zunächst eine Aussage über den Sinn und Zweck des Auskunftsrechts, nämlich „um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können“. Damit gehe es bei Art 15 darum, dass die betroffene Person ausreichende Informationen über die konkrete Verarbeitung erhalte, um ihre betroffenen Rechte geltend machen zu können und nicht darum, dass sie Duplikate sämtlicher Dokumente des/der Verantwortlichen erhalte, indem ihre Daten enthalten seien. Weiters solle das Recht auf Auskunft „die Rechte und Freiheiten anderer Personen […] nicht beeinträchtigen“. Daraus könne geschlossen werden, dass der europäische Gesetzgeber die Interessenabwägung nach Art 15 Abs. 4 auf die gesamte inhaltliche Auskunft angewendet wissen wollte, also sowohl auf das inhaltliche Auskunftsrecht nach Art 15 Abs. 1 als auch auf dessen nähere Spezifizierung in Form des Rechts auf Kopie nach Art 15 Abs. 3.

1.2. Für eine extensive Auffassung:

Dix in Simitis/Hornung/Spiecker [Hrsg.], Datenschutzrecht, DSGVO mit BDSG, Nomos Verlagsgesellschaft, 2019, Art 15, RZ 28, 33, meint dazu, dass die DSGVO der betroffenen Person erstmals einen Anspruch auf eine Kopie der sie betreffenden Daten einräume, die Gegenstand der Verarbeitung seien. Dieses Recht auf eine Datenkopie stärke die Stellung der betroffenen Person erheblich. Das Recht auf Datenkopie sei eine besondere Form der Auskunft und keine gesonderte Herausgabepflicht. Sie beziehe sich auf die nach Abs. 1 zu erteilende Auskunft über die zu ihrer Person verarbeiteten Daten. Allerdings sei das Recht auf Datenkopie nicht identisch mit dem Recht auf Auskunft; die Kopie könne die Auskunft schon deshalb nicht ersetzen, weil der kopierte Datensatz häufig durch eine erläuternde Auskunft ergänzt werden müsse, um für die betroffene Person verständlich zu sein. Der/die Verantwortliche sei nach Art 12 Abs. 1 dazu verpflichtet, die Verständlichkeit - falls nötig - auch durch die Beantwortung von Rückfragen herzustellen. Das Recht auf Datenkopie nach Abs 3 Satz 1 beziehe sich auf die Daten in der Form, wie sie dem/der Verantwortlichen vorliegen würden (zum Beispiel grundsätzlich auch genetische Rohdaten von Patienten/Patientinnen oder Probanden). Diese_r sei nicht verpflichtet, die Daten in einer bestimmten Form aufzubereiten, damit sie die betroffene Person weiterverarbeiten könne. Etwas anderes gelte nur bei elektronischer Beantragung einer Datenkopie.

Stellte der/die Verantwortliche der betroffenen Person eine Kopie ihrer Daten zur Verfügung, so dürfe dies die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Rechte und Freiheiten Dritter könnten dadurch beeinträchtigt werden, dass die Daten der betroffenen Person gemeinsam mit den Daten Dritter verarbeitet würden (zum Beispiel in Form von Papier-Listen). Dies rechtfertige allerdings in aller Regel nicht, der betroffenen Person die Aushändigung einer Kopie vollständig zu verweigern. Vielmehr habe der/die Verantwortliche bei konventioneller (analoger) Datenverarbeitung die Datenblätter für die Bereitstellung der Kopie zu schwärzen. Bei automatisierter Datenverarbeitung sei die Herstellung einer elektronischen Teilkopie ohnehin dann unproblematisch, wenn es sich nicht um Daten mit doppeltem oder mehrfachem Personenbezug handle.

Haidinger vertritt in Knyrim [Hrsg.], Der DatKomm, Praxiskommentar zum Datenschutzrecht, DSGVO und DSG, Manz Verlag, 2021, Art 15 DSGVO, RZ 35, den Standpunkt, dass die betroffene Person über die Information hinaus, welche Daten über sie konkret verarbeitet würden, Anspruch auf eine Kopie der Daten habe, die Gegenstand der Verarbeitung seien. Ein Recht auf Herausgabe der Kopie der Daten sei von der (österreichischen früheren) Datenschutzkommission bislang ausdrücklich verneint worden. Mit Kopien der Daten seien E-Mails, Datenbankauszüge etc gemeint, was im Hinblick auf Freitextfelder in Datenbanken durchaus riskant für den/die Verantwortliche_n sein könne. Der Anspruch auf Datenkopie stehe selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten. Die Übermittlung der Datenkopie werde beide Ansprüche abdecken, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots für die betroffene Person erschließen würden, also insbesondere Erläuterungen angeschlossen seien. Eine Aufbereitung der Datenkopie selbst dürfe – vorbehaltlich Art 15 Abs. 4 – nicht erfolgen, weil sonst der Inhalt verändert würde.

Ehmann in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung (DS-GVO2), C.H. Beck, 2018, Art 15, thematisiert den Umfang oder die Art der Kopie nicht, meint aber zu Abs. 3 Satz 3 von Art 15 DSGVO, dass dieser davon spreche, dass „Informationen“ zur Verfügung zu stellen seien und nicht lediglich die personenbezogenen Daten, was keine Ungenauigkeit der Formulierung darstelle. In Abs. 3 Satz 1 und 2 sei zutreffend die Rede von einer „Kopie der personenbezogenen Daten“, da nur diese Gegenstand einer Kopie durch den/die Verantwortliche_n sein könnten. Abs. 3 Satz 3 verwende dagegen den Begriff der Informationen, um auch die Form festzulegen, in der über die „eigentlichen“ personenbezogenen Daten hinaus die zugehörigen Metadaten zur Verfügung zu stellen seien.

2. Ebenso kommen österreichische und deutsche Gerichte bei dieser Frage zu unterschiedlichen Auslegungen:

2.1. Für einen restriktiven Zugang:

Das (österreichische) Bundesverwaltungsgericht entschied mit Erkenntnis vom 23.09.2020 zur Zl W256 2226269-1/13E, über den Begriff der Kopie, dass

„Art 15 Abs. 1 DSGVO das Recht auf Auskunft auf personenbezogene Daten im Sinne des Art 4 Abs. 1 DSGVO und mit diesen in Zusammenhang stehenden in Abs. 2 konkret festgelegten Zusatzinformationen beschränkt. Da der Begriff der personenbezogenen Daten nach Art 4 Abs. 1 DSGVO vielfältig und nicht (immer) auf einzelne Daten beschränkt sein muss (siehe dazu Erwägungsgrund 63 in Bezug auf Informationen wie z.B. Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen und Eingriffen sowie EuGH, 20.12.2017, C434/16 in Bezug auf schriftliche Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaigen Anmerkungen des Prüfers zu diesen Antworten) kann es – dem Erfordernis einer transparenten Information entsprechend – daher mitunter im Einzelfall erforderlich oder auch zweckmäßig sein, dass auch einzelne Textpassagen oder auch Dokumente der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen sind. Ein generelles Recht auf Erhalt von Dokumenten, in denen personenbezogene Daten verarbeitet werden, kann aus Art 15 DSGVO aber nicht abgeleitet werden.

Art 15 Abs. 3 DSGVO legt auch lediglich fest, dass der Verantwortliche eine Kopie der Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen hat.

Dabei handelt es sich allein um eine Modifikation der Form der Unterrichtung im Vergleich zu Art 12 DSGVO und nicht um ein eigenständiges, insbesondere neben dem Recht auf Auskunft nach Art 15 Abs. 1 DSGVO bestehendes Recht auf Erhalt einer Kopie. Art 15 Abs. 3 DSGVO legt vielmehr fest, dass das Recht auf Auskunft nach Art 15 Abs. 1 DSGVO in Form einer Kopie der Daten der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen ist, weshalb der betroffenen Person ein Recht auf Erhalt einer Kopie allein in Bezug auf ihr Auskunftsrecht zukommt (siehe dazu auch Paal in Paal-Pauly (Hrsg.), Datenschutzgrundverordnung² zu Art 15, Rn 33).“

Das (deutsche) Arbeitsgericht Bonn erkannte am 16.07.2020 zur Zl 3 Ca 2026/19, dass

„nach Auffassung der Kammer der Anspruch auf Herausgabe einer Kopie der Daten lediglich die Übermittlung einer Liste der gespeicherten Daten beinhaltet. Der Begriff Kopie ist insoweit als ein Exemplar einer Liste von Daten zu verstehen.

Dies ergibt sich aus dem Zusammenspiel von Satz 1 und Satz 2 von Art. 15 Abs. 3 DSGVO und dem sich daraus ergebenden Sinn und Zweck der Norm. Die Vorschrift will bestimmen, dass eine „Kopie“ kostenlos ist und für weitere Kopien ein Entgelt verlangt werden kann. Dies wird deutlich durch einen Blick auf die im Originaltext der Verordnung verwendeten englischen bzw. französischen Begriffe „COPY“ und „COPIE“, die jedenfalls auch mit „Exemplar“ übersetzt werden können. Es sind aus dem Sinn und Zweck der Norm keine Umstände ersichtlich, dass über die Information über das gespeicherte Datum hinaus noch eine Herausgabepflicht von Unterlagen bestehen soll, wie der Kläger es mit seinem Antrag verlangt. Sollte also die Beklagte die Aussage eines Betriebsratsmitgliedes über eine vom Kläger veranlasste Hotelbuchung gespeichert haben, so wäre sie verpflichtet, auf ein entsprechend konkretisiertes Auskunftsersuchen des Klägers diese gespeicherten Daten gegenüber dem Kläger offenzulegen. Eine Herausgabe des Protokolls über diese Aussage beinhaltet die Verpflichtung zur Verfügungstellung einer Kopie gemäß Art. 15 Abs. 3 DSGVO jedoch nicht.“

2.2. Für einen extensiven Zugang:

Der (österreichische) Oberste Gerichtshof (OGH) hatte mit Urteil vom 17.12.2020, 6 Ob 138/20t, über die Frage der kostenlosen Übermittlung einer gesamten Krankengeschichte – über einen Patientenbrief hinausgehend – zu urteilen und sprach dabei aus, dass nach

„Art 15 Abs 3 DSGVO eine Kopie der personenbezogenen Daten zur Verfügung zu stellen [ist], die Gegenstand der Verarbeitung sind. Personenbezogene Daten sind nach Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine Person angesehen wird, die direkt oder indirekt identifiziert werden kann.

Wie bereits die Vorinstanzen ausführten, geht der Verordnungsgesetzgeber ausdrücklich davon aus, dass das Auskunftsrecht der betroffenen Person auch ihre eigenen gesundheitsbezogenen Daten, wie etwa Daten in den Patientenakten, Diagnosen, Untersuchungsergebnisse, Befunde der nachbehandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen umfasst (DSGVO ErwGr 63). […]

Wären in der Krankengeschichte Daten enthalten, die sich nicht auf den Kläger beziehen, wäre es an der Beklagten gelegen, dies vorzubringen. Dies hätte jedoch nicht schlechthin die Klageabweisung zur Folge. Vielmehr bestünde in einem solchen Fall ein Anspruch der betroffenen Person auf Zurverfügungstellung einer Teilkopie, die bloß die personenbezogenen Daten enthält oder in der die übrigen Daten unkenntlich gemacht sind (vgl Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41).

Die Kopie hat vollständig zu sein (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41). Die Aushändigung des Patientenbriefs ist daher nicht ausreichend.

Nach Art 15 Abs 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung; für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.

Nach Art 12 Abs 5 DSGVO werden „alle Mitteilungen und Maßnahmen gemäß den Art 15 bis 22 und 34 DSGVO“ unentgeltlich zur Verfügung gestellt. […] Aus diesen Bestimmungen wird abgeleitet, dass die erste Kopie der personenbezogenen Daten für die betroffene Person kostenfrei ist (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 45; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 12 DSGVO Rz 30, Art 15 Rz 30; Ehmann in Ehmann/Selmayr, DS-GVO² [2018] Art 15 Rz 28; Paal in Paal/Pauly, DSGVO/BDSG² Art 15 DSGVO Rz 34 f; Franck in Gola, DS-GVO² [2018] Art 15 Rz 32; Stollhoff in Auernhammer, DSGVO/BDSG6 [2018] Art 15 Rz 30; Specht in Sydow, EU-DSGVO² Art 15 Rz 20; Diregger, Handbuch Datenschutzrecht [2018] 733; Souhrada-Kirchmayer, Das Auskunftsrecht nach der Datenschutz-Grundverordnung, Jahrbuch Datenschutzrecht 2017, 75, 80).

Als Zwischenergebnis ist daher festzuhalten, dass sich aus Art 15 Abs 3, Art 12 Abs 5 DSGVO grundsätzlich das Recht des Patienten auf Zurverfügungstellung einer Kopie seiner Krankengeschichte ergibt, wobei die erste Kopie kostenlos zur Verfügung zu stellen ist.“

Mit Erkenntnis vom 02.03.2020 zur Zl. W214 2224106-1/13E sprach das (österreichische) Bundesverwaltungsgericht in einer Angelegenheit, in der eine Beschwerdeführerin nach Art 15 Abs. 3 DSGVO um die Auskunft ersuchte, sämtliche ihrer Eingaben mit Datum des Einlangens und Bezeichnung der Verwaltungssache aufzulisten und eine kostenlose Kopie zur Verfügung zu stellen, aus, dass

„schon aus dem Wortlaut des Art. 15 Abs. 3 DSGVO folgt, dass eine Kopie der Daten kostenlos an den Auskunftswerber zu übersenden ist. Erst wenn die betroffene Person mehr als eine Kopie wünscht, darf der Verantwortliche für diese zusätzlichen Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verrechnen (vgl. auch Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 36 (Stand 1.10.2018, rdb.at)).“

Das (deutsche) Verwaltungsgericht Schwerin entschied am 29.04.2021 zur Zl. 1 A 1343/19 SN, über die Zurverfügungstellung einer Kopie eines Sachverständigengutachtens dahingehend, dass

„was unter „Kopie“ gemäß Art. 15 Abs. 3 DS-GVO zu verstehen ist, umstritten [ist]. Nach einer extensiven Ansicht sind sämtliche gespeicherten und/oder verarbeiteten personenbezogenen Daten in der vorliegenden Rohfassung zu übermitteln (so: Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 15 Rn. 39a; BeckOK DatenschutzR/B.-Wudy, 34. Ed. 1. November 2020, DS-GVO Art. 15 Rn. 85; Halder/Johanson, NJOZ 2019, 1457 (1459); VG Gelsenkirchen, Urteil vom 27. April 2020 – 20 K 6392/18, NVwZ-RR 2020, 1070 Rn. 78, beck-online; AG Bonn, Urteil vom 30. Juli 2020 – 118 C 315/19, BeckRS 2020, 19548 Rn. 15, 16); nach der restriktiven Gegenansicht regelt Art. 15 Abs. 3 Satz 1 DS-GVO lediglich eine besondere Form der Auskunft und bezieht sich nur auf die Informationen aus Abs. 1, der jedoch keinen Anspruch auf vollständige Datenauskunft, sondern nur auf Übersicht der Daten enthält (vgl. zum Streitstand: BeckOK DatenschutzR/B.-Wudy, 34. Ed. 1. November 2020, DS-GVO Art. 15 Rn. 85; und Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 33 m.w.N.).

Das Gericht hat oben bereits dargelegt, dass es davon ausgeht, dass der DS-GVO ein extensives Verständnis von personenbezogenen Daten zu Grunde liegt. Die restriktive Auffassung, dass eine Auskunft lediglich in Form einer Übersicht der gespeicherten Informationen zu erfolgen hat, ist daher abzulehnen. Aus Sicht des Gerichts kann es dahinstehen, ob Art. 15 Abs. 3 DS-GVO einen eigenständigen Anspruch oder nur eine Erweiterung des in Art. 15 Abs. 1 DS-GVO enthaltenen Auskunftsanspruchs darstellt. Denn personenbezogene Daten sollen umfassend geschützt werden. Dieser Schutz kann nur konsequent verwirklicht werden, wenn eine Auskunft über die vollständig gespeicherten Daten erteilt wird. Art. 15 DS-GVO kann in seiner Gesamtheit nur so verstanden werden, dass entweder das „Recht auf Auskunft über diese personenbezogenen Daten“ nach Art. 15 Abs. 1 Halbsatz 2 DS-GVO bereits ein Auskunftsrecht über sämtliche Informationen beinhaltet (Wortlaut: „Auskunft über diese personenbezogenen Daten und folgende Informationen“), welches durch Abs. 3 dahingehend erweitert wird, dass dem Betroffenen auch die Überlassung einer Kopie der Daten zusteht, oder im Recht auf „Kopie“ nach Art. 15 Abs. 3 DS-GVO ein eigenständiger Anspruch auf Überlassung der vollständigen Informationen zu sehen ist. Andernfalls wäre eine Überprüfung auf Richtigkeit der gespeicherten Daten und das Recht auf Berichtigung nach Art. 16 DS-GVO nicht umsetzbar. Ohne Kenntnis der konkreten Daten, ist eine Überprüfung auf Richtigkeit nicht möglich. Anhand einer Übersicht, dass etwa Name, Adresse und eine gewisse Anzahl von Fotos, etc. gespeichert werden, lässt sich nicht überprüfen, ob die Daten auch inhaltlich zutreffend erfasst wurden, etwa ob der Name richtig geschrieben wurde oder ob bei zugeordneten Fotos überhaupt ein Zusammenhang mit der betroffenen Person besteht. So können beispielsweise Bilder von verschiedenen Eigentumsobjekten falsch zugeordnet sein. Selbst bei Annahme größtmöglicher Sorgfalt, ist es nicht auszuschließen, dass bei der Verarbeitung großer Datenmengen in jedem Fall eine richtige Zuordnung vorgenommen wird. Dies gilt insbesondere dann, wenn sich etwa die betreffenden Informationen ähneln (Beispiele: Fotos von baugleichen Reihenhäusern oder von eineiigen Zwillingen), die Daten auf einem Datenträger erfasst wurden und erst im Nachgang eine abschließende Zuordnung zu einer Akte bzw. einem Datensatz erfolgt. Eine Überprüfung der richtigen Erfassung durch den Betroffenen ist nur bei vollständiger Kenntnis der Daten möglich. Gleiches gilt für das Recht auf Löschung nach Art. 17 DS-GVO. Für diese Sichtweise spricht auch der Erwägungsgrund 63 der DS-GVO. Aus diesem wird ersichtlich, dass der Normgeber einen eigenständigen und direkten Zugang des Betroffenen zu seinen Daten ermöglichen will („Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde.“). Es wird nicht davon gesprochen, dass die betroffene Person Zugang zu einer Übersicht ihrer personenbezogenen Daten, sondern „direkten Zugang“ zu den Daten erhalten soll.“

3. Erwägungen des beschließenden Senats:

3.1. In der vom Bundesverwaltungsgericht im gegenständlichen Beschwerdeverfahren noch zu beurteilenden Frage geht es darum, ob mit der Übermittlung der personenbezogenen Daten des Beschwerdeführers im Rahmen einer Tabelle und einer Übersicht im Auskunftsschreiben der Kreditauskunftei dem Rechtsanspruch gemäß Art 15 Abs. 3 DSGVO auf Erhalt einer Kopie entsprochen wurde, oder ob der Beschwerdeführer einen Rechtsanspruch auf Ausfolgung einer Kopie seiner personenbezogenen Daten, die von der mitbeteiligten Partei verarbeitet werden, nicht in isolierter Gestalt, sondern in Form von Kopien oder Auszügen allfälliger Korrespondenzen und Datenbankinhalten oder ähnliches, hat. Wird letzteres bejaht, so ist seiner diesbezüglichen Beschwerde stattzugeben, da derartige Dokumente von der mitbeteiligten Partei bisher nicht ausgefolgt wurden, und die Datenschutzbehörde im angefochtenen Bescheid einen solchen Anspruch verneinte.

3.2. Auf Grundlage der strittigen Lehrmeinungen und der ebenfalls uneinheitlichen Rechtsprechung aus den exemplarischen Beispielen stellt sich für den beschließenden Senat die Frage, was genau mit dem Begriff der „Kopie“ in Art 15 Abs. 3 Satz 1 DSGVO im Wortsinn gemeint ist (Vorlagefrage 1).

Geht es weiter dabei um eine Spezifizierung bzw. Modifizierung des allgemeinen Auskunftsrechts nach Art 15 Abs. 1 DSGVO und wird mit der Bestimmung eher festgelegt, wie eine betroffene Person die Auskunft über ihre personenbezogenen Daten, die verarbeitet werden, erhalten soll? Oder normiert die Bestimmung tatsächlich einen eigenen, selbständigen und über das Auskunftsrecht des Art 15 Abs. 1 DSGVO hinausgehenden Rechtsanspruch auf Fotokopie/Faksimile/Datenbankausdruck oder (elektronischen) Datenbankauszug bzw. auf Kopie ganzer Dokumente und Unterlagen, in denen personenbezogene Daten der betroffenen Person vorkommen? Diese Fragen begründen die Vorlagefrage 2.

Der restriktivere Zugang in Literatur und Rechtsprechung orientiert sich am Normzweck zum Auskunftsrecht als – vereinfacht gesagt – Vorbereitung zur Wahrnehmung weiterer Betroffenenrechte und stellt in diesem Sinne mehr auf die Information über die verarbeiteten personenbezogenen Daten ab, so auch in aggregierter, zum Beispiel in einer Liste dargestellter Form. Der extensive Zugang stellt den weitreichenden Schutzzweck, den die DSGVO insgesamt verfolgt, voran, aus der eine erhöhte Kontrollbefugnis der betroffenen Person hervorgehen kann: demnach würde der Rechtsanspruch auf Ausfolgung einer Kopie der Daten in Form einer Fotokopie, eines Faksimiles, Datenbankausdrucks oder eines (elektronischen) Datenbankauszugs bzw. einer Kopie ganzer Dokumente und Unterlagen die Überprüfbarkeit verstärken, nach Meinung mancher, überhaupt erst ermöglichen.

Beide Zugänge verweisen dabei auch auf die Bestimmung des Art 15 Abs. 4 DSGVO als interpretatorische Hilfe, wonach das Recht auf Erhalt einer Kopie gemäß Abs. 3 nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf. Aus dieser Bestimmung könnte nun abgeleitet werden, dass die in Kopie vorzulegenden personenbezogenen Daten nicht alleine, sondern immer im Kontext ihrer Verarbeitung, das heißt als Bestandteil eines ganzen Dokuments (wie zum Beispiel eines E-Mails) oder eines über die personenbezogenen Daten im Umfang hinausgehenden Auszugs aus einer Datenbank, vorzulegen sind. Es könnte aber auch daraus abgeleitet werden, dass sich die Bestimmung alleine auf jene Fälle bezieht, in denen die zu beauskunftenden und in Kopie zu übermittelnden personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nicht isoliert werden können, weil sie, wie etwa bei einer Filmaufnahme, die auch andere Personen zeigt, untrennbar mit geschützten Daten Dritter verknüpft sind.

Im Falle einer restriktiven Auslegung des Art 15 Abs. 3 Satz 1 DSGVO dahingehend, dass mit „Kopie“ kein Rechtsanspruch auf Übermittlung von Fotokopien, ganzer Dokumente oder Datenbankauszüge gemeint ist, stellt sich im Lichte der im Erwägungsgrund 63 explizit genannten Datenarten und des Transparenzgebots des Art 12 Abs. 1 DSGVO die Frage, ob im Einzelfall und bedingt durch die Art der verarbeiteten personenbezogenen Daten doch eine Pflicht eines/einer Verantwortlichen bestehen kann, Textteile oder Dokumente in Kopie zur Verfügung zu stellen (Vorlagefrage 3).

Schließlich wird auch der Begriff der „Informationen“ in Art 15 Abs. 3 Satz 3 DSGVO für beide Auslegungswege – restriktiv und extensiv – herangezogen, weshalb es notwendig erscheint, zu fragen, ob sich dieser Begriff nun alleine auf die in Art 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ bezieht (Vorlagefrage 4), oder darüber hinausgeht und auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) umfasst (Vorlagefrage 4.a) oder auch noch darüber hinausgeht und beispielsweise zu den Daten zugehörige Metadaten meint (Vorlagefrage 4.b.).

Der beschließende Senat übersieht gegenständlich nicht, dass der Oberste Gerichtshof in Österreich bereits in seinem Urteil vom 17.12.2020, Zl 6 Ob 138/20t, eine Aussage dazu getroffen hat, dass sich aus Art 15 Abs. 3, Art 12 Abs. 5 DSGVO grundsätzlich ein Recht des Patienten/der Patientin auf Zurverfügungstellung einer Kopie der Krankengeschichte ergibt. Erwägungsgrund 63 nennt Daten aus Patientenakten ausdrücklich. Die Aussage des Obersten Gerichtshofs kann „nur“ auf Krankengeschichten bezogen, als eine besonders wesentliche und sensible Form von personenbezogenen Daten, gesehen werden, oder aber auch als Aussage zu einem allgemeinen Rechtsanspruch auf Ausfolgung von Kopien über verarbeitete personenbezogene Daten.

3. Soweit ersichtlich existiert zu den im Spruch angeführten Vorlagefragen betreffend die DSGVO keine Rechtsprechung des Gerichtshofs der Europäischen Union. Da dem Bundesverwaltungsgericht die richtige Anwendung des Unionsrechts, so des Art 15 Abs. 3 Satz 1 DSGVO, aus den genannten Gründen nicht derart offenkundig erscheint, dass für einen vernünftigen Zweifel kein Raum bleibt (vgl. EuGH, Urteil vom 6. Oktober 1982, Rs. 282/81, Slg. 1982, 3415), werden die im Spruch ausgeführten Vorlagefragen gemäß Art 267 AEUV mit dem Ersuchen um Vorabentscheidung vorgelegt.

VII. Information an die Parteien:

1. Gemäß § 17 VwGVG iVm § 38a AVG darf das Verwaltungsgericht, wenn es dem Gerichtshof der Europäischen Union eine Frage zur Vorabentscheidung vorgelegt hat, bis zum Einlangen der Vorabentscheidung nur solche Handlungen vornehmen oder Entscheidungen und Verfügungen treffen, die durch die Vorabentscheidung nicht beeinflusst werden können oder die die Frage nicht abschließend regeln und keinen Aufschub gestatten. Eine förmliche Aussetzung des Verfahrens durch einen selbständig anfechtbaren Akt ist nicht vorgesehen. Die Rechtswirkungen des § 38a AVG treten ex lege im Zeitpunkt der Stellung des Antrags ein und dauern bis zum Einlangen der Vorabentscheidung (vgl. Hengstschläger/Leeb, AVG § 38a, RZ 12 [Stand 1.4.2021, rdb.a]).

2. Eine Bekämpfbarkeit der Antragstellung zur Vorabentscheidung beim Gerichtshof der Europäischen Union ist in Hinblick auf die unionsrechtlich angeordnete grundsätzliche Kompetenz des Gerichtshofs der Europäischen Union, über die Vorlageberechtigung zu entscheiden, zu verneinen (vgl. VwGH, 22.02.2001, Zl. 2001/04/0034 mwN, VwGH, 28.10.2008, Zl 2008/05/0129).